Fuite de données SafePal : 39 798 clients touchés, noms, adresses et numéros de téléphone

Le fabricant de portefeuilles matériels SafePal a reconnu le 16 août 2026 une fuite de données : les noms, adresses électroniques, adresses de livraison, numéros de téléphone et détails de commande de 39 798 clients ont été exposés. Les phrases de récupération, les clés privées et les données de paiement ne sont pas concernées, selon l’entreprise. Toute personne ayant commandé un appareil entre le 2 mars 2025 et le 11 avril 2026 devrait le vérifier dès maintenant, car la combinaison d’une adresse personnelle et de l’information « possède un portefeuille matériel » est précisément ce qui rend possibles des tentatives de fraude ciblées.

L’entreprise a averti les clients concernés par courrier électronique et mis à disposition un outil de vérification qui permet, à partir du numéro de commande, d’établir si la commande figure dans la fuite. Il s’agit du deuxième incident de ce type dans le secteur en deux semaines.

Ce qui s’est exactement passé lors de la fuite de données SafePal

La cause, selon SafePal, réside dans un défaut d’autorisation présent dans une extension de suivi des commandes. Un défaut d’autorisation signifie qu’une application vérifie bien si une personne est connectée, mais pas si cette personne a le droit de consulter les données demandées. Dans certaines conditions, la commande d’un autre client pouvait ainsi être consultée.

Un second défaut, indépendant du premier, est venu s’y ajouter. D’après les recherches de BleepingComputer, une configuration erronée a empêché, entre septembre 2025 et avril 2026, la suppression programmée des anciens enregistrements de commande. Le système contenait donc bien plus de données historiques qu’il n’aurait dû. Seule cette conjonction explique que la période de commande remonte jusqu’en mars 2025.

La chronologie compte davantage pour l’appréciation que le chiffre lui-même. Un premier signalement est parvenu à SafePal début mai 2026. En juillet, l’entreprise a engagé une révision complète et une refonte de son traitement des commandes, et c’est à cette occasion qu’elle a découvert la faille. La communication publique a suivi le 16 août. Trois bons mois séparent donc le premier signalement de la notification des personnes concernées.

Quelles données ont fuité chez SafePal et lesquelles non

SafePal détaille explicitement les deux volets dans son avis de sécurité. Sont concernés les noms, adresses électroniques, adresses d’expédition, numéros de téléphone et détails d’achat. Ne sont pas concernés, selon l’entreprise, les phrases de récupération, les clés privées, les mots de passe de portefeuille et autres identifiants de portefeuille, ainsi que les coordonnées bancaires, les numéros de carte et les numéros de pièce d’identité officielle.

La phrase de récupération est la suite de douze ou vingt-quatre mots à partir de laquelle toutes les clés d’un portefeuille peuvent être restaurées. Celui qui la connaît dispose d’un accès complet au solde, où que se trouve l’appareil. Son absence de la fuite constitue la bonne nouvelle de cet incident : les données divulguées ne permettent pas à elles seules de déplacer des fonds.

Ce n’est toutefois que la moitié du tableau. Un attaquant qui connaît un nom, une adresse personnelle, un numéro de téléphone et une date de commande n’a pas besoin de voler la phrase de récupération. Il peut tenter de se la faire remettre. C’est là que se situe la différence entre une fuite d’adresses ordinaire et une fuite d’adresses chez un fabricant de portefeuilles.

Un dernier point relève de l’exactitude : selon les informations de BleepingComputer et du service spécialisé Help Net Security, un acteur d’un forum cybercriminel propose un jeu de données citant le même nombre de clients et la même période de commande. L’authenticité de cette offre reste à ce jour non confirmée. Pour la prudence de chacun, cela ne change rien, car la bonne manière de traiter un contact inattendu reste la même dans les deux cas.

Suis-je concerné par la fuite de données SafePal ? Comment vérifier votre commande

Trois voies existent, elles se complètent et donnent ensemble une image fiable.

Période de commande, notification et outil de vérification

La première voie est le calendrier. Seules les commandes passées entre le 2 mars 2025 et le 11 avril 2026 sont concernées. Qui a commandé plus tôt ou plus tard reste hors de la fuite, selon la présentation de l’entreprise. La deuxième voie est la boîte de réception : SafePal a averti les clients concernés le 16 août par courrier électronique, depuis l’adresse security@safepal.com. La troisième voie est l’outil de vérification, dans lequel se saisissent le numéro de commande et le pays de livraison.

Un détail décisif passe facilement inaperçu sur cet outil. Ouvrez le site uniquement par l’adresse www.safepal.com saisie directement et ne suivez aucun lien contenu dans un courriel. SafePal indique avoir déjà fait retirer plus de 30 faux sites et liens d’hameçonnage. Ces imitations vivent de leur apparition au bon moment, et le bon moment, c’est maintenant.

Pourquoi une adresse de livraison est plus dangereuse qu’un mot de passe divulgué

Un mot de passe divulgué se change en deux minutes. Une adresse personnelle et un numéro de téléphone ne se changent pas, et l’information selon laquelle une personne détenant des cryptoactifs en conservation autonome habite à cette adresse ne vieillit pas. Là réside le cœur du problème, et la raison pour laquelle les fuites d’adresses chez les fabricants de portefeuilles forment une catégorie à part.

Deux trajectoires de risque en découlent. La première est l’hameçonnage ciblé. L’hameçonnage désigne la tentative d’obtenir des identifiants sous une identité usurpée. Un attaquant qui cite votre nom, votre date d’achat et votre modèle d’appareil franchit l’obstacle habituel : le contact ne ressemble pas à un envoi de masse, mais à un rappel concernant une opération qui a réellement eu lieu.

La seconde trajectoire est la plus déplaisante. Le secteur a adopté le terme de « wrench attack » pour désigner l’agression physique contre les détenteurs de portefeuilles : au lieu de casser le chiffrement, on fait pression sur le propriétaire pour qu’il livre ses clés. Une liste d’adresses fiable en est la condition préalable. Cryptoticker a décrit ce lien le 25 avril 2026 à propos de la série d’enlèvements en France ; la chaîne y commençait également par des données exposées.

Qui en tire la conséquence de repenser son propre dispositif de conservation trouvera dans le comparatif des portefeuilles matériels les appareils courants et leurs circuits d’achat. Cela ne remplace pas une réaction à la fuite, cela réduit seulement la surface d’attaque pour le prochain cas.

Appels d’hameçonnage depuis mai : les données servent depuis des mois

Le constat qui distingue cet incident d’une simple obligation de notification figure dans les articles de BleepingComputer et de Help Net Security. Dès mai 2026, soit des mois avant la communication officielle, des clients signalaient des courriels d’hameçonnage et des appels téléphoniques portant sur de prétendues mises à jour de micrologiciel et sur des problèmes de sécurité de leur portefeuille matériel. Un client a de surcroît fait état d’un courrier postal.

SafePal n’a confirmé aucun lien direct entre ces contacts et la fuite, selon la présentation de Help Net Security. Le moment et le niveau de connaissance des appelants suggèrent néanmoins un recoupement, d’après l’appréciation du service spécialisé. Pour vous, client, la conséquence pratique est nette : l’idée que le risque commencerait avec la publication ne tient pas. Les attaques étaient déjà en cours.

Une mise à jour de micrologiciel est l’actualisation du logiciel embarqué d’un portefeuille matériel. L’utilisateur déclenche toujours lui-même une telle mise à jour depuis l’application officielle du fabricant, et elle n’est jamais annoncée par téléphone. Un appel qui pousse à une mise à jour constitue donc un signal d’alerte, indépendamment de toute fuite de données.

Le faux appareil de remplacement : l’arnaque contre laquelle SafePal met en garde

Une formulation retenue par l’entreprise dans ses recommandations mérite l’attention. Les clients doivent traiter comme suspects tout contact inattendu et toute livraison de matériel inattendue se rapportant à leur achat SafePal, que cela survienne par téléphone, par voie postale ou en personne.

Qu’un fabricant mette expressément en garde contre des colis qui semblent venir de lui-même a une explication. Un appareil manipulé, livré avec une notice préparée et une phrase de récupération déjà fournie, transfère à l’expéditeur le contrôle de tous les avoirs qui y seront ensuite conservés. Le destinataire ne s’aperçoit d’abord de rien, car l’appareil fonctionne en apparence.

La règle qui s’y oppose est peu spectaculaire et efficace. Un appareil que vous n’avez pas commandé vous-même ne se met pas en service. Une phrase de récupération jointe à un appareil n’est jamais authentique, car elle se génère sur l’appareil et nulle part ailleurs. Et une phrase de récupération ne se saisit en aucun cas sur un site, dans un formulaire ou au téléphone. La façon de la conserver est présentée dans notre guide de conservation de la phrase de récupération.

Deuxième cas en deux semaines : ce qui relie Trezor et SafePal

Le 13 août 2026, Cryptoticker rendait compte d’une fuite de données chez Trezor qui touchait, en l’état des informations d’alors, 13 689 clients avec leurs noms, numéros de téléphone et adresses personnelles ; les données y avaient transité par le prestataire logistique ShipMonk. Les détails figurent dans notre article sur la fuite de données Trezor.

Les causes techniques des deux affaires n’ont rien à voir l’une avec l’autre. L’une se situait chez un prestataire d’expédition externe, l’autre dans une extension exploitée en interne. Ce qu’elles partagent, c’est l’endroit : dans les deux cas, la cible n’était ni l’appareil ni la cryptographie qui le sous-tend, mais le processus de commande.

Voilà le véritable enseignement de ce doublon. L’architecture de sécurité d’un portefeuille matériel est conçue pour que la clé privée ne quitte jamais l’appareil, et elle remplit cet office. L’achat qui la précède est une boutique en ligne ordinaire, avec base d’adresses, gestion des expéditions et extensions tierces, et elle est exploitée selon les critères d’une boutique en ligne. Deux incidents en quatorze jours forment un nombre trop faible pour une statistique, mais ils suffisent à rendre cette asymétrie visible.

Dans la pratique, une question en découle, et elle peut se poser avant tout achat : de quelles données le commerçant a-t-il réellement besoin, et combien de temps les conserve-t-il ? SafePal a annoncé en réponse qu’elle supprimerait désormais les enregistrements d’achat après 90 jours, sauf obligation légale contraire. Des durées de conservation plus courtes constituent le remède le plus efficace contre ce type précis de fuite, car les données divulguées ne peuvent être plus anciennes que le stock encore détenu.

Ce que les clients SafePal doivent faire dans les prochains jours

La réaction à une fuite d’adresses diffère fondamentalement de la réaction à une fuite de mots de passe. Il n’y a rien à réinitialiser. Reste la préparation aux contacts qui vont venir.

Cinq points pour les semaines à venir

Vérifiez d’abord, par l’adresse du fabricant saisie directement, si votre commande figure dans la fuite, et regardez dans votre boîte de réception si une notification est arrivée. Traitez ensuite tout contact entrant se rapportant à votre achat, quel qu’en soit le canal, comme non confirmé tant que vous ne l’avez pas vérifié vous-même par une voie officielle. Ne mettez pas en service du matériel que vous n’avez pas commandé. Ne saisissez votre phrase de récupération en aucun cas, pas même dans un formulaire d’apparence authentique. Et reconsidérez l’adresse de livraison de vos prochaines commandes, par exemple un point relais ou une adresse de remise distincte.

Ce que vous n’avez pas à faire : remplacer l’appareil ou reconfigurer le portefeuille. Aucun identifiant de portefeuille n’étant concerné selon l’entreprise, rien ne le justifie. Qui veut tout de même migrer par précaution devrait le faire par une nouvelle installation qu’il contrôle lui-même, avec une phrase de récupération générée à neuf, et non au moyen d’un appareil qu’on lui aurait envoyé.

RGPD et fuite de données : quels droits pour les clients en Allemagne

Même si SafePal n’a pas son siège dans l’Union européenne, le règlement général sur la protection des données s’applique dès lors que des marchandises sont livrées à des personnes situées dans l’Union. Deux prétentions pratiques en découlent. En vertu de l’article 15 du RGPD, vous pouvez demander quelles données vous concernant sont conservées. En vertu de l’article 34 du RGPD, un responsable de traitement est tenu d’informer les personnes concernées dans les meilleurs délais lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour elles.

Savoir si la notification satisfait en l’espèce au critère des meilleurs délais relève d’une appréciation qui appartient aux autorités de contrôle, et non à nous. On ne peut que retenir la chronologie : premier signalement début mai, notification à la mi-août. Qui souhaite suivre le dossier peut s’adresser à l’autorité de protection des données compétente pour le prestataire ; en Allemagne, l’autorité régionale de protection des données est l’interlocuteur pour une réclamation.

Indépendamment de cela, la documentation en vaut la peine. Conservez le courriel de notification et le résultat de la vérification. Si un préjudice devait survenir plus tard, la preuve de la date à laquelle vous avez eu connaissance de quoi constitue le point de départ de toute suite.

Vérifier la fuite de données SafePal : ce qu’il faut retenir

L’incident touche un groupe restreint, mais pour ce groupe il est sérieux, car les informations divulguées restent valables durablement. Trois étapes vous placent en quelques minutes en position solide.

1. Vérifier la commande et classer les contacts. Regardez si votre achat tombe entre le 2 mars 2025 et le 11 avril 2026, et contrôlez le résultat par l’adresse du fabricant saisie vous-même. Traitez chaque appel et chaque message relatif à votre achat comme non confirmé jusqu’à votre propre contre-vérification. Si vous repensez ensuite la conservation, le comparatif des portefeuilles matériels constitue le point d’entrée objectif.
2. Ne mettre en service aucun appareil non commandé. Cette seule règle couvre intégralement la variante la plus dangereuse de l’arnaque. Pour les montants où un envoi postal ne se justifie de toute façon pas, le comparatif des portefeuilles logiciels constitue l’alternative naturelle.
3. Faire de la sobriété en données une habitude. Des durées de conservation plus courtes et moins d’informations enregistrées limitent le dommage de la prochaine fuite avant qu’elle ne survienne. Cela vaut pour les commerçants comme pour les places de marché ; les prestataires placés sous supervision européenne figurent dans le panorama des plateformes crypto réglementées.

(Au 20 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)